12.2. IdM CA 更新サーバーの変更およびリセット

手順

1. オプション: デプロイメント内のどの IdM サーバーが新しい CA 更新サーバーになるのに必要な CA ロールを持っているかを確認するには、次のコマンドを実行します。

   ~]$ ipa server-role-find --role 'CA server'
   ----------------------
   2 server roles matched
   ----------------------
     Server name: server.idm.example.com
     Role name: CA server
     Role status: enabled
   
     Server name: replica.idm.example.com
     Role name: CA server
     Role status: enabled
   ----------------------------
   Number of entries returned 2
   ----------------------------

   Copy to Clipboard Toggle word wrap

   デプロイメントには、2 つの CA サーバーがあります。

2. オプション: どの CA サーバーが現在の CA 更新サーバーであるかを確認するには、次のコマンドを実行します。

   ~]$ ipa config-show | grep 'CA renewal'
     IPA CA renewal master: server.idm.example.com

   Copy to Clipboard Toggle word wrap

   現在の更新サーバーは server.idm.example.com です。

3. 更新サーバー設定を変更するには、--ca-renewal-master-server オプションを指定して ipa config-mod ユーティリティーを使用します。

   ~]$ ipa config-mod --ca-renewal-master-server replica.idm.example.com | grep 'CA renewal'
     IPA CA renewal master: replica.idm.example.com

   Copy to Clipboard Toggle word wrap
   重要

   以下を使用して、新しい CA 更新サーバーに切り替えることもできます。

   • ipa-cacert-manage --renew コマンド。このコマンドは、CA 証明書を更新し、かつ コマンドを実行する CA サーバーを新しい CA 更新サーバーにします。

   • ipa-cert-fix コマンド。このコマンドは、期限切れの証明書が失敗の原因になっている場合にデプロイメントを回復します。また、コマンドを実行する CA サーバーを新しい CA 更新サーバーにします。

     詳細は IdM がオフライン時に期限切れのシステム証明書の更新 を参照してください。